PHP, yapay zekâ modellerinin bulduğu PHP2Shell RCE sıfır gün açıklarını yamaladı ama ömrü dolan sürümler için yama yok

Motor düzeyindeki iki hata için acil düzeltmeler

PHP projesi 21 Ekim 2026'da, CVE-2026-109618 ve CVE-2026-109619 olarak takip edilen ve PHP2Shell adı verilen iki kritik uzaktan kod çalıştırma sıfır gün açığını kapatan acil güvenlik sürümleri yayınladı. Açıklama zaman çizelgesini derleyen bir dev.to yazısına göre her iki hata da CVSS v4.0 altında 9.2 puan alıyor. İkinci bir dev.to analizi önemli bir uyarı ekliyor: CVE tanımlayıcıları PHP'nin kendi duyurusundan değil bir sızıntıdan geldi; PHP duyurusunda hiçbir numara yer almıyordu ve önceden dolaşan 10.0 şiddet puanı, The Hacker News'in sonradan düzelttiği bir söylentiden ibaretti.

Çekirdekteki iki use-after-free hatası

CVE-2026-109618, istek kurulumu sırasında belleğin yanlış bir anda tükenmesiyle tetikleniyor: iç yapılar yarım başlatılmış kalıyor ve temizlik kodu bozulan bu duruma güveniyor, bu da bir use-after-free üretiyor. CVE-2026-109619 ise ölümcül bir hatadan sonra iç işaretçileri istek sınırları boyunca canlı bırakıyor; böylece aynı PHP worker'ının sunduğu sonraki bir istek bu işaretçileri ele geçirebiliyor. İlgili bir varyant, session_start çağrısı yapılmadan bile PHPSESSID çerezi üzerinden diğer isteklerin parolalarını, API anahtarlarını ve sertifikalarını sızdırıyor. dev.to raporu, varsayılan ayarlarla Apache mod_php üzerinde ve en son WordPress, Drupal ve Joomla container imajlarında kimlik doğrulaması gerektirmeyen RCE'nin gösterildiğini söylüyor. Hatalar motorun içinde bulunduğundan, PHP'nin kendisi güncellenmeden bir CMS'i veya framework'ü yamalamak hiçbir işe yaramıyor.

Yapay zekâ destekli araştırmacılar önce vardı

Güvenlik firması Calif, OpenAI'nin Patch the Planet girişimi kapsamında 30 Temmuz 2026'da GPT-5.6 Sol kullanarak PHP'nin kaynak kodunu denetlemeye başladı; araştırmacı Ryan Austin ilk sömürülebilir hatayı 1 Ağustos'ta tespit etti. Wiz Research, 19 Ağustos'ta Gemini 4 Argon, GPT-5.6 Sol ve kendi Wiz Atlas aracını kullanarak hataları bağımsız olarak yeniden keşfetti ve iki gün içinde Drupal ve WordPress'e karşı kimlik doğrulaması gerektirmeyen RCE'yi doğruladı. Her iki ekip de 24 Ağustos'ta PHP güvenlik ekibine bildirimde bulundu ve PHP, bildirimleri 21 Eylül'de onayladı. Zaman çizelgesi, bellek tükenmesi örüntüsünün daha 2024'te bir OSTIF/Quarkslab denetimi sırasında fark edildiğini, ancak hiçbir sömürü bulunamadığı için düzeltmenin takıldığını not ediyor — PHP Foundation'ın bunu, fikir birliğine dayalı güvenlik sürecinin yapısal bir başarısızlığı olarak nitelediği bildiriliyor.

Embargo açılmadan önce sızdı

20 Ekim'de bir Hacker News gönderisi, hatalı zamanlama ve puanlamayla ayrıntıları ifşa etti. WatchTowr, X üzerinde sızıntının gerçek olduğunu doğruladı ve PHP, ikinci dev.to zaman çizelgesine göre sürümü bir gün öne alarak çarşamba günü yayınladı. Chainguard, koordine edilmiş sürümden yaklaşık altı saat önce yamalanmış container imajları yayınladı ve saldırganlara tersine mühendislik yapabilecekleri bir binary diff teslim etti; Calif ise yanlışlıkla bir kavram kanıtı videosu yayınladı. İfşaatın ardından saatler içinde GitHub'da php2shell adlı halka açık bir sömürü kodu ortaya çıktı. En kaygı verici olanıysa Amazon'un MadPot honeypot'unun 17 Ekim'de — ifşaatan dört gün önce — ticari bir anonimleştirme ağından gelen sömürü girişimleri kaydetmesi; AWS, aktörün embargo altındaki bilgiye nasıl ulaştığının belirsiz olduğunu söylüyor. Haber patlak verdiğinde Cloudflare, 45 dakika içinde on binlerce, akşamsa milyonlarca sömürü denemesi raporladı ve AWS, sahadaki yaygın sömürüyü doğruladı. Hollanda ve Finlandiya önlem olarak devlet web sitelerini çevrimdışına aldı ve Archive.org geçici olarak karanlığa gömüldü.

Açıkta kurulumların çoğu yamayı hiç almayacak

PHP yamaları yalnızca desteklenen dallara gönderiyor: 8.2, 8.3, 8.4 ve 8.5. İkinci dev.to analizinde alıntılanan Mallory rakamlarına göre, Shodan üzerinden HTTP banner'ları sayılarak yapılan tespitte kabaca 1,5 milyon sunucu bir PHP sürümü ifşa ediyor ve bunların 883.717'si (%59) resmî yama almayacak PHP 8.1 veya daha eski sürümler çalıştırıyor; 740.000 sunucu daha sürüm açıklamadan PHP tanıtıyor. En kötü rakamlar arasında fiilen %100 ile Cezayir, 30.102 sunucunun %82'siyle Güney Kore, %79 ile Kamboçya, 18.701 sunucunun %78'iyle Tayland ve %62 ile Vietnam var; ABD'de %54, Hindistan'da %53. İki kaynak kapsam konusunda ayrışıyor: biri hataların PHP 5.4'e kadar her sürümü ve web'in tahmini %70'ini kapsadığını iddia ederken, Mallory etkinin 2004'e kadar uzandığını öne sürüyor; The Hacker News ve Huntress ise etkilenen aralığın resmî kılavuzda hiçbir zaman doğrulanmadığını not ediyor. Banner taraması ayrıca belirli bir sunucunun savunmasız olduğunu kanıtlayamaz.

Operatörler şimdi ne yapmalı

The Hacker News, ömrü dolmuş kurulumlar için seçenekleri sıralıyor: desteklenen bir dala yükseltme, makineyi internetten çekme veya göç tamamlanana kadar bir VPN ya da WAF arkasına saklama; ayrıca barındırma sağlayıcılarına ve Linux dağıtımcılarına geri taşınan yamalar konusunda sorma. Cloudflare, sürümden önce geçici WAF kuralları devreye aldı. Yalamadan sonra php-fpm, php-cgi veya Apache süreçlerinin shell, yorumlayıcı veya indirici başlatıp başlatmadığını izleyin — Florian Roth'un process-watcher aracı bu alt süreçleri komut satırlarıyla günlüklüyor — ve web shell'leri, web köklerindeki yeni dosyaları, yeni cron işlerini ve yeni hesapları arayın. Örnek, CVE-2024-4577: Akamai orada, ifşaatın ardından 24 saat içinde honeypot'lara yönelik sömürü girişimleri gözlemlemişti.

Neden önemli

PHP2Shell, yapay zekâ destekli keşfin kamuoyuna açıklamayı açık ara geçtiğinin kanıtlandığı ilk internet ölçekli güvenlik açığı; yine de ifşa öncesi sömürü ve bir dizi sızıntı bu avantajı zayıflattı — OpenAI'nin kendisinin kabul ettiği çift kullanım riski. Bu durum ayrıca önce-yamala tavsiyesinin sert sınırını ortaya koyuyor: internete açık PHP kurulumlarının çoğu ömrü dolmuş dallar çalıştırdığında, acil sürümler yalnızca bir azınlığa ulaşıyor. FIRST, 2026 için 2025'teki 48.000'den yukarıya, 66.000 CVE öngörüyor ve Mandiant eksi yedi günlük ortalama sömürüye kadar geçen süre ölçüyor; savunmacıların çalışabileceği pencere, yapay zekâ bulmayı hızlandırdıkça daralmaya devam ediyor.